Sikkerhet
Retningslinjer for koordinert sårbarhetsrapportering
Rapporter en sårbarhet
Hvis du tror du har funnet en sikkerhetssårbarhet i et CapOpt-produkt eller en CapOpt-tjeneste, ta kontakt på:
Vi vil heller høre fra deg enn ikke. Du trenger ikke være sikker, og du trenger ikke levere en fungerende exploit.
Dette hjelper
- Hva du fant, og hvor — produkt, tjeneste, URL eller enhet
- Hvordan reprodusere det, med nok detaljer til at vi ser det samme
- Hva du tror en angriper kan gjøre med det
- Om du har fortalt andre, og om du planlegger å publisere
Skriv på engelsk eller svensk — det spiller ingen rolle.
Det vi forplikter oss til
CapOpt AB er et selskap med tre personer. Dette er forpliktelser vi faktisk kan holde — ikke de som ser best ut på papiret:
| Bekreftelse | Innen 3 virkedager |
|---|---|
| Innledende vurdering | Innen 10 virkedager — om vi kan reprodusere det, og vår vurdering av alvorlighetsgrad |
| Oppdateringer | Minst hver 30. dag så lenge rapporten er åpen |
| Løsning | Vi sier fra når det er rettet, og hva vi endret |
Vi har ikke bug bounty og kan ikke tilby betaling. Vil du krediteres når vi publiserer en retting, si fra — det gjør vi, med mindre du ber om noe annet.
Koordinert offentliggjøring
Vi ber om 90 dager fra rapporten din før offentliggjøring, slik at en retting kan utvikles og distribueres til installerte enheter.
Vil du publisere tidligere, si fra så prøver vi å bli enige om en dato. Kan vi ikke rette innen 90 dager, forklarer vi hvorfor og foreslår en lengre periode — men vi bruker ikke det til å utsette deg på ubestemt tid. Er sårbarheten allerede offentlig eller utnyttet, er tidspunktet for offentliggjøring ikke lenger vårt å bestemme.
Safe harbour
Hvis du handler i god tro og følger denne policyen, vil vi ikke iverksette rettslige skritt mot deg, og vi anmelder deg ikke til politiet.
Hvis en tredjepart reiser sak mot deg for forskning utført i tråd med denne policyen, vil vi gjøre det kjent at handlingene dine var autorisert.
Dette fritar ikke, og kan ikke frita, våre kunders eller andres rettigheter. Se avgrensningene nedenfor.
Omfang
Innenfor scope — produkter og tjenester CapOpt AB bringer til markedet eller driver:
- Capacity Optimizer Gateway (modell CO-LB-100) og CapOpt-programvaren som kjører på den
- CapOpt sky-API og dashboard
- CapOpts offentlige nettsteder
Utenfor scope:
Elbilladere, strømmålere og batterilagring. Disse lages av andre selskaper. Finner du en sårbarhet i en av dem, rapporter til produsenten — vi hjelper deg finne riktig kontakt om du spør.
Kundenettverk og kundeanlegg. Det er ikke vårt å autorisere testing mot.
Tredjepartstjenester vi bruker, men ikke driver.
Funn som bare er tilgjengelige etter at noe utenfor scope først er kompromittert.
Det vi ber deg om ikke å gjøre
Det meste er standard. Det andre punktet er det ikke — og det betyr mer enn resten.
- Ikke få tilgang til, endre eller slett data som ikke er dine.
- Ikke test mot en live-installasjon. En CapOpt Edge styrer elbilladere, batterilagring og elektrisk last på et ekte anlegg. Inngrep kan utløse strømbrudd, avbryte lading noen er avhengig av, eller skade utstyr. Dette er en sikkerhetsgrense, ikke en juridisk formalitet. Trenger du å demonstrere noe mot en ekte enhet, kontakt oss først så ordner vi det.
- Ikke gjennomfør denial-of-service-testing, eller noe som svekker tilgjengelighet.
- Ikke bruk social engineering, phishing eller fysiske angrep mot ansatte eller kunder.
- Ikke bruk automatisert skanning som genererer betydelig belastning.
- Ikke publiser detaljer før den avtalte offentliggjøringsperioden.
Når vi informerer kunder
Påvirker en sårbarhet utrullede enheter, varsler vi berørte kunder med råd om mitigering før offentliggjøring. Krever loven at vi melder til en myndighet — for eksempel under Cyber Resilience Act eller Radio Equipment Directive — gjør vi det, uten at det endrer det vi har avtalt med deg.
Sist oppdatert: 10. september 2026